Seguridad física y ambiental

Tema 1 SAD

Vicente Sánchez Patón

I.E.S Gregorio Prieto

Seguridad física y ambiental
Los mecanismos de seguridad física deben resguardar de amenazas producidas tanto
por el hombre como por la naturaleza. Básicamente, las amenazas físicas que pueden
poner en riesgo un sistema informático son:

- Desastres naturales, incendios accidentales, humedad e inundaciones.

- Amenazas ocasionadas involuntariamente por personas.
- Acciones hostiles deliberadas como robo, fraude o sabotaje.

Las Reglas básicas sobre la Seguridad Ambiental que debemos implementar entre
otras son:

- Protecciones eléctricas, de agua y gas.

- Instalaciones de Aire Acondicionado y Sistemas de Refrigeración y ventilación
fluida.
- Protección ante Incendios y métodos eficaces de Evacuación guiados.
- Sistemas de Detección en casos de accidentes ambientales, como fuego por ejemplo.
- Personal de Seguridad y Sistemas de Monitoreo.
Seguridad física y ambiental
Para minimizar el impacto de un posible problema físico
tendremos que imponer condiciones de seguridad para los equipos
y sistemas de la organización. Por otra lado para que los equipos
informáticos funcionen correctamente deben de encontrarse en bajo
ciertas condiciones.

Como es lógico pensar no todos los equipos informáticos de una

organización tiene el mismo valor. Para poder tener una buena
seguridad debemos saber que equipos y datos son más importantes
para la organización. Ej. Un servidor y un puesto de trabajo no
tendrán las mismas medidas de seguridad, ni físicas ni lógicas.

Los servidores dado que su funcionamiento ha de ser continuo

deben de situarse en un lugar que cumpla las condiciones optimas
para el funcionamiento de estos.
Seguridad física y ambiental
Para asegurar los sistemas y equipos que han
de mantenerse siempre operativos se crean
lugares que se conocen como "Centro de
Procesamiento de Datos" o por sus siglas
CPD.
Para poder asegurar un CPD lo primero que
debemos hacer es asegurar el recinto con
medidas de seguridad física.
Seguridad física y ambiental
Sistemas contra incendios.
Existen varios tipos de sistemas de extinción de incendios, como:
extracción de oxigeno, inserción de gases nobles o extintores
especiales que eviten el riesgo de electrocución.

Es importante intentar evitar los sistemas contra incendios que usen

materiales conductores, dado que, de lo contrario pueden perderse
datos de los dispositivos.
Seguridad física y ambiental
Sistemas de control de acceso.

-Sistemas de Llaves (tradicionales).

-Sistemas de contraseña.

Estos sistemas son los más usados por si simplicidad de uso

y bajo coste. En estos tipos de sistemas se ha de establecer
políticas de contraseñas. Por tanto la organización que
implemente un sistema de contraseña tendrá que indicar a
sus usuarios con que periodicidad son cambiadas y que
características tienen que tener para ser seguras. Sobre las
políticas de contraseñas hablaremos más adelante.
Seguridad física y ambiental
- Sistemas Tarjeta magnética.
Estos sistemas se componen de una tarjeta con una
banda magnética que contiene un código para acceder.

- Sistemas RFID:
Son las siglas de identificación por radio frecuencia
en Ingles (Radio Frequency IDentification), estos
sistemas se componen de un elemento que reacciona
ante una señal, devolviendo un resultado. Existen
dispositivos RFID con identificadores únicos
certificados por la casa de la moneda.
Seguridad física y ambiental
- Sistemas de Token.
Un sistema de token se compone de un elemento móvil llamado
"Token" que genera claves aleatorias, para poder funcionar
correctamente el token ha de estar sincronizado con el sistema de
acceso. Para poder acceder el usuario ha de insertar la clave
generada por el token en el sistema, este generará una clave usando
el mismo algoritmo y la comparará. Actualmente se están usando
sistemas de "Token" mediante el envío de un sms.

- Sistemas Biométricos.
Son sistemas que otorgan acceso mediante la identificación por
elementos físicos de cada individuo, véase iris del ojo, huellas
dactilares, voz, sistema de venas palmares, u otros rasgos únicos.
Este tipos de sistemas son más complejos para ser saltados dado es
muy complejo copiar este tipo de datos.
Seguridad física y ambiental
Sistemas de control de temperatura.
Para que los sistemas informáticos funcionen correctamente los
elementos físicos de los mismos han de encontrase a ciertas
temperaturas.

Debido a que los equipos informáticos funcionan mediante

semiconductores se tienen que mantener entre cierto valores de
temperatura, de lo contrario los semiconductores pierden sus
propiedades y dejan de funcionar adecuadamente. La temperatura
adecuada de un CPD no debe de superar los 30º.
Seguridad física y ambiental
Un sistema de alimentación ininterrumpida, SAI o Fuente
Ininterrumpida de Poder, es un dispositivo que gracias a sus baterías
u otros elementos almacenadores de energía, puede proporcionar
energía eléctrica por un tiempo limitado y durante un apagón a todos
los dispositivos que tenga conectados. Otras de las funciones que se
pueden adicionar a estos equipos es la de mejorar la calidad de la
energía eléctrica que llega a las cargas, filtrando subidas y bajadas
de tensión y eliminando armónicos de la red en el caso de usar
corriente alterna.
Los UPS dan energía eléctrica a equipos llamados cargas críticas,
como pueden ser aparatos médicos, industriales o informáticos que,
como se ha mencionado anteriormente, requieren tener siempre
alimentación y que ésta sea de calidad, debido a la necesidad de
estar en todo momento operativos y sin fallos (picos o caídas de
tensión).
Seguridad física y ambiental
Tipos de UPS o SAI
- UPS de continua (activo)
Las cargas conectadas a los UPS requieren una alimentación de corriente continua,
por lo tanto éstos transformarán la corriente alterna de la red comercial a corriente
continua y la usarán para alimentar la carga y almacenarla en sus baterías. Por lo
tanto no requieren convertidores entre las baterías y las cargas.
- UPS de corriente alterna (pasivo)
Estos UPS obtienen a su salida una señal alterna, por lo que necesitan un inversor
para transformar la señal continua que proviene de las baterías en una señal alterna.
- SAI en estado de espera (Stand-by Power Systems)
Este sistema presenta dos circuitos principales: la alimentación de línea, a la que
solo se le agrega un estabilizado y un filtrado adicional al normal de cada equipo a
alimentar, y el circuito propiamente S.A.I., cuyo núcleo es el circuito llamado
"inversor". Es llamado sistema en "stand-by", o en espera, debido a que el circuito de
alimentación alternativo, el inversor, está "fuera de línea", o inactivo, en espera de
entrar en funcionamiento cuando se produzca una falla en la alimentación de red.
Posee un elemento conmutador que conecta y desconecta uno u otro circuito
alternativamente.
Seguridad física y ambiental
- SAI en linea (on-line)
En cambio, en el S.A.I. "en línea" (on-line), la batería y el Inversor
están permanentemente siendo utilizados, lo que garantiza una
máxima respuesta en tiempo y forma ante el evento de falla de red.
Además, también pueden corregir los desplazamientos de frecuencia,
ya que re-generan la onda alterna permanentemente (entrada alterna,
rectificado a continua, inversor vuelve a generar tensión alterna).
Tiene la desventaja de requerir una batería específica para el sistema
en cuestión. De allí la dificultad de reemplazarla o agregar una batería
externa económica y/ó más potente.
- SAI con volante de alta inercia
En este caso la energía para mantener el suministro de alimentación
eléctrica se conserva a través del denominado Almacenamiento
cinético. De esta manera, no se requiere el uso de baterías y con ello
se evita la necesidad de mantenerlas o reemplazarlas.
Seguridad física y ambiental
Fallos comunes en el suministro de energía eléctrica
El papel del UPS es suministrar potencia eléctrica en ocasiones de fallo de
suministro, en un intervalo de tiempo "corto".(si es un fallo en el suministro de
la red, hasta que comiencen a funcionar los sistemas aislados de emergencia).
Sin embargo, muchos sistemas de alimentación ininterrumpida son capaces de
corregir otros fallos de suministro:
Corte de energía: pérdida total de tensión de entrada.
Sobretensión: tiene lugar cuando la tensión supera el 110% del valor nominal.
Caída de tensión: cuando la tensión es inferior al 85-80% de la nominal.
Picos de tensión.
Ruido eléctrico o electromagnético.
Inestabilidad en la frecuencia.
Distorsión armónica, cuando la onda sinusoidal suministrada no tiene esa
forma.
Habitualmente, los fabricantes de SAI clasifican los equipos en función de los
fallos eléctricos que corrigen.
Seguridad física y ambiental
La biometría es el estudio de métodos automáticos para el
reconocimiento único de humanos basados en uno o más rasgos
conductuales o rasgos físicos intrínsecos.
En las tecnologías de la información (TI), la «autentificación
biométrica» o «biometría informática» es la aplicación de técnicas
matemáticas y estadísticas sobre los rasgos físicos o de conducta de un
individuo, para su autentificación, es decir, “verificar” su identidad.
Las huellas dactilares, la retina, el iris, los patrones faciales, de venas
de la mano o la geometría de la palma de la mano, representan
ejemplos de características físicas (estáticas), mientras que entre los
ejemplos de características del comportamiento se incluye la firma, el
paso y el tecleo (dinámicas). La voz se considera una mezcla de
características físicas y del comportamiento, pero todos los rasgos
biométricos comparten aspectos físicos y del comportamiento.
Seguridad física y ambiental
En un sistema de Biometría típico, la persona se registra con el sistema
cuando una o más de sus características físicas y de conducta es obtenida,
procesada por un algoritmo numérico, e introducida en una base de datos.
Idealmente, cuando entra, casi todas sus características concuerdan;
entonces cuando alguna otra persona intenta identificarse, no empareja
completamente, por lo que el sistema no le permite el acceso. Las
tecnologías actuales tienen tasas de acierto que varían ampliamente (desde
valores bajos como el 60%, hasta altos como el 99,9%).
El rendimiento de una medida biométrica se define generalmente en
términos de tasa de falso positivo (False Acceptance Rate o FAR), la tasa
de falso negativo (False NonMatch Rate o FNMR, también False Rejection
Rate o FRR), y la tasa de fallo de alistamiento (Failure-to-enroll Rate, FTR
o FER).
Seguridad física y ambiental
En los sistemas biométricos reales el FAR y el FRR puede transformarse en los demás
cambiando cierto parámetro. Una de las medidas más comunes de los sistemas
biométricos reales es la tasa en la que el ajuste en el cual acepta y rechaza los errores es
igual: la tasa de error igual (Equal Error Rate o EER), también conocida como la tasa de
error de cruce (Cross-over Error Rate o CER). Cuanto más bajo es el EER o el CER, se
considera que el sistema es más exacto.
Las tasas de error anunciadas implican a veces elementos idiosincrásicos o subjetivos.
Por ejemplo, un fabricante de sistemas biométricos fijó el umbral de aceptación alto, para
reducir al mínimo las falsas aceptaciones; en la práctica, se permitían tres intentos, por lo
que un falso rechazo se contaba sólo si los tres intentos resultaban fallidos (por ejemplo
escritura, habla, etc.), las opiniones pueden variar sobre qué constituye un falso rechazo.
Si entro a un sistema de verificación de firmas usando mi inicial y apellido, ¿puedo decir
legítimamente que se trata de un falso rechazo cuando rechace mi nombre y apellido?
A pesar de estas dudas, los sistemas biométricos tienen un potencial para identificar a
individuos con un grado de certeza muy alto. La prueba forense del ADN goza de un
grado particularmente alto de confianza pública actualmente (ca. 2004) y la tecnología
está orientándose al reconocimiento del iris, que tiene la capacidad de diferenciar entre
dos individuos con un ADN idéntico.
Seguridad física y ambiental
Seguridad física y ambiental
Estándares asociados a tecnologías biométricas
A nivel mundial el principal organismo que coordina las actividades de
estandarización biométrica es el Sub-Comité 17 (SC17) del Joint Technical
Committee on Information Technology (ISO/IEC JTC1), del International
Organization for Standardization (ISO) y el International Electrotechnical
Commission (IEC).
En Estados Unidos desempeñan un papel similar el Comité Técnico M1 del
INCITS (InterNational Committee for Information Technology Standards), el
National Institute of Standards and Technology (NIST) y el American National
Standards Institute (ANSI).
Existen además otros organismos no gubernamentales impulsando iniciativas en
materias biométricas tales como: Biometrics Consortium, International Biometrics
Groups y BioAPI. Este último se estableció en Estados Unidos en 1998 compuesto
por las empresas Bioscrypt, Compaq, Iridiam, Infineon, NIST, Saflink y Unisis. El
Consorcio BioAPI desarrolló conjuntamente con otros consorcios y asociaciones,
un estándar que promoviera la conexión entre los dispositivos biométricos y los
diferentes tipos de programas de aplicación, además de promover el crecimiento de
los mercados biométricos.
Seguridad física y ambiental
Algunos de los estándares más importantes son:
Estándar ANSI X.9.84: creado en 2001, por la ANSI (American National
Standards Institute) y actualizado en 2003, define las condiciones de los
sistemas biométricos para la industria de servicios financieros haciendo
referencia a la transmisión y almacenamiento seguro de información
biométrica, y a la seguridad del hardware asociado.
Estándar ANSI / INCITS 358: creado en 2002 por ANSI y BioApi
Consortium, presenta una interfaz de programación de aplicación que
garantiza que los productos y sistemas que cumplen este estándar son
interoperables entre sí.
Estándar NISTIR 6529: también conocido como CBEFF (Common
Biometric Exchange File Format) es un estándar creado en 1999 por
NIST y Biometrics Consortium que propone un formato estandarizado
(estructura lógica de archivos de datos) para el intercambio de
información biométrica.
Seguridad física y ambiental
Estándar ANSI 378: creado en 2004 por la ANSI, establece
criterios para representar e intercambiar la información de las
huellas dactilares a través del uso de minucias. El propósito de
esta norma es que un sistema biométrico dactilar pueda realizar
procesos de verificación de identidad e identificación, empleando
información biométrica proveniente de otros sistemas.
Estándar ISO 19794-2: creado en 2005 por la ISO/IEC con
propósitos similares a la norma ANSI 378, respecto a la que
guarda mucha similitud.
Estándar PIV-071006: creado en 2006 por el NIST y el FBI en el
contexto de la norma FIPS 201 del gobierno de EE.UU, establece
los criterios de calidad de imagen que deben cumplir los lectores
de huellas dactilares para poder ser usados en procesos de
verificación de identidad en agencias federales.